Google, sadece arama motoru değildir. O, internetin yüzeyine değil; içine doğru açılan dev bir keşif cihazıdır. "Dorking" adı verilen özel arama teknikleriyle arka kapılar, açık dizinler, şifreli dosyalar ve giriş panelleri ortaya çıkarılabilir. Ama bu güçle birlikte büyük bir sorumluluk gelir. Çünkü karşına çıkan her login sayfası, seni içeri çağırıyor gibi görünse de, aslında çoğu zaman bir sınav sorusudur. Şimdi Google Dorking yaparken gördüğün her login ekranına gireyim mi? demeden önce neyi bilmen gerektiğini açıklıyoruz.
Google Dorking Nedir? Kısa Ama Keskin Bir Tanım
Dorking, Googleda özel operatörler kullanarak (intitle, inurl, filetype, site vb.) sunuculara ait hassas bilgileri listelemektir:
intitle:"admin login"inurl:admin/login.phpfiletype:envsite:.gov inurl:admin
Bu komutlarla:
- Yönetim panelleri
- Şifreli .env dosyaları
- Açık indeks klasörleri
- Veritabanı yedekleri
bulunabilir. Ama sadece bulman, oraya girmen gerektiği anlamına gelmez.
Sadece Baktım Demek Seni Kurtarmaz
Bir admin panelini buldun. Giriş ekranı açık. Şansına bir admin:admin denemesi yapıyorsun. Yanıt geliyor: Access Granted. İşte o anda sistem senin için açılmış gibi görünür. Ama aslında sen:
- Yetkisiz bir bilişim sistemine erişim sağlamış olursun
- TCK 243/1 maddesine göre suç işlemiş sayılırsın
- Sadece izinsiz girmiş olman bile ceza alman için yeterlidir
Zaten parola sormamıştı, boştu, ben yazdım gibi savunmalar hukuki geçerlilik taşımaz. Yasal tanıma göre sistemin izni yoksa, senin merakın da gerekçe değildir.
Dorking ile Bulunan Sayfalarda Neler Yapmamalısın?
1. Admin Paneline Giriş Denemesi Yapma
Giriş ekranı bulduysan, sadece görüntülemekle yetin. Kullanıcı adı/parola denemesi yaparsan, sistem seni "yetkisiz giriş teşebbüsü" olarak loglayabilir.
2. Açık .env, .sql, .bak Dosyalarını İndirme
Dosya açıkta olabilir, hatta tarayıcıda indirilebilir bile görünebilir. Ama bu dosyayı indirmen ve incelemen veri hırsızlığı kapsamına girer. KVKK ve TCK birlikte çalışır.
3. FTP veya SSH Bilgilerini Görsen Bile Deneme Yapma
Dorklarla bazen config dosyaları görünür. FTP kullanıcı adı ve parolası gözükse bile, bu bilgiye dayanarak giriş yaparsan, açık kapıdan izinsiz girmiş sayılırsın.
4. Açık Kamera, DVR, IP Cihazı Girişi Görürsen Göz Atma
İntitle:"Camera login" gibi dorklarla canlı yayın cihazlarına ulaşırsan, izlemesen bile tarayıcıya yüklenmesi IP üzerinden seni eşler. Anlık görüntü bile kişisel veri ihlalidir.
Gerçek Hayattan Vaka: Açık Admin Paneline Sadece Bakan Kişi
2022de bir bilgisayar öğrencisi, inurl:/admin/login dorku ile bir küçük belediyenin CMS giriş panelini buldu. Admin:123456 deneyince sistem açıldı. Hiçbir işlem yapmadı, sadece baktı. Ama sistemdeki log dosyaları bunu kaydetti. Bir yıl sonra bir siber güvenlik denetiminde olay fark edildi. Geriye dönük IP eşleşmesiyle kişiye ulaşıldı. Savcılık zarar verilmemiş dese de izinsiz giriş nedeniyle adli işlem başlattı. Ceza ertelendi ama sabıka kaydı oluştu.
Peki Dorking Yaparken Nerede Durmalısın?
- Görüntüle ama etkileşime geçme
- Giriş denemesi yapma
- Dosya indirip açma
- Kimlik doğrulama içeren alanlara bilgi girme
- Kameraları izleme, stream sayfalarını yükleme
Sadece ne var burada? merakının bile seni yasadışı bir işleme sürükleyebileceğini unutma.
Etik Sınır İçin Alternatif Ne Yapabilirsin?
- Google Hacking Database üzerinden örnek dorkları öğren
- Kendi lokal test sunucunda sahte login sayfaları oluştur
- Dorking becerilerini gerçek hedeflerde değil, CTF platformlarında geliştir
Ve Bilinmesi Gereken Derin Gerçek
Dorking, internette açılmış yaraları fark etme sanatıdır. Ama yarayı fark etmekle, parmağını içine sokmak aynı şey değildir. Bir sistemin görünmesi, girilebilir olduğu anlamına gelmez. Ve bir kapıyı zorlamak için illa kilitli olması gerekmez; açık bir kapıya izinsiz giren de davetsiz misafirdir. Dijital dünyada gerçek etik, ne yapabildiğinle değil, yapabileceğin halde neye dokunmadığınla ölçülür.